3. 资产识别与业务影响分析

资产识别不是把机房里的设备抄成一张表，而是回答一个更关键的问题：哪些资产一旦失效、被篡改或被泄露，会真正影响业务，影响多大，影响多久。在风险量化中，资产是风险作用的承载体，业务影响是风险后果的度量入口。如果资产清单只记录“有什么”，而没有记录“支撑什么业务、依赖谁、值多少钱”，后续的优先级排序就会失去依据。

一、资产分类：先按形态分，再按业务角色分

资产分类通常采用两个维度。第一个维度是资产形态，用于盘点和管理：硬件（服务器、网络设备、终端、工控设备）、软件（操作系统、中间件、应用系统、数据库）、数据（客户信息、交易记录、配置数据、日志）、服务（API、DNS、认证服务、支付通道）、人员与流程（运维人员、审批流程）、以及云资源与虚拟资产（云主机、对象存储、容器镜像、域名证书）。第二个维度是业务角色，用于影响分析：该资产是直接对外提供业务能力，还是为业务提供支撑，或只是被业务间接依赖。

分类的价值在于避免“设备视角”的盲区。例如一台数据库服务器，从形态看是硬件加软件，从业务角色看是核心交易数据的唯一持久化载体；一台办公终端，从形态看是硬件，从业务角色看可能只是普通办公工具，也可能承载财务密钥。同一形态的资产，业务角色不同，关键性完全不同。

二、资产分级：用业务影响反推资产等级

分级不是给资产贴“重要/不重要”的标签，而是建立可比较的尺度。常用做法是围绕三个影响维度打分：保密性影响（C）、完整性影响（I）、可用性影响（A）。每个维度按业务后果分为若干档，例如：

• 1 级：影响可忽略，业务可正常运转；
• 2 级：局部效率下降，可在工作时间内恢复；
• 3 级：业务中断或数据错误，影响部分用户，恢复需数小时；
• 4 级：核心业务中断、大量用户受影响或产生合规处罚，恢复需数天；
• 5 级：危及企业生存、造成重大资金损失或严重监管后果。

资产等级可取 C、I、A 中的最高档，也可按加权公式计算。例如某在线支付系统的交易数据库，C=5（泄露客户支付信息）、I=5（篡改交易金额）、A=5（中断导致无法支付），综合等级为 5 级；而内部测试环境的数据库，C=2、I=2、A=2，综合等级为 2 级。分级结果直接决定后续治理投入的优先级。

三、业务依赖映射：把资产连成业务链

业务依赖映射的目标是回答“业务靠什么活着”。做法是从业务功能出发，逐层向下拆解：业务功能 → 支撑应用 → 中间件与数据库 → 主机与网络 → 云资源与外部服务。每一层记录依赖关系和依赖强度（强依赖、弱依赖、冗余依赖）。

依赖映射中最容易被忽略的是共享资产和单点故障。一个认证服务可能被十个业务系统共同依赖，它的关键性远高于只服务一个系统的组件；一条没有冗余的专线，可能成为整个分支机构的单点。映射时要把这些“被多个业务共用”和“无替代路径”的节点显式标出，它们往往是风险优先级最高的对象。

四、资产价值评估：从替换成本到业务损失

资产价值不能只看采购价格。更合理的评估应包含四类成本：替换成本（重新采购、部署、配置的人力和时间）、业务中断损失（单位时间收入损失 × 预计中断时长）、数据恢复成本（备份恢复、数据重建、客户补偿）、合规与声誉成本（罚款、诉讼、客户流失）。

以某电商订单系统为例，假设其订单数据库中断 1 小时，直接交易损失约 8 万元，客服与补偿成本约 2 万元，若涉及数据泄露还可能触发合规成本。按年化风险视角，资产价值可表达为“业务影响 × 发生可能性”的输入项，而不是一个静态数字。评估时建议给出区间和假设条件，避免把估算值当成精确值使用。

五、关键性排序：把清单变成治理顺序

完成分类、分级、依赖映射和价值评估后，就可以做关键性排序。排序依据通常包括：业务影响等级、依赖广度（被多少业务依赖）、可替代性（是否有冗余或备用路径）、恢复时间目标（RTO）、以及合规要求。排序结果不是“谁贵谁优先”，而是“谁失效后果最严重、最难恢复、影响面最广，谁优先”。

下面这张图展示了一个真实业务系统（在线订单与支付系统）的资产依赖与关键性传导关系。图中从业务功能向下追溯到具体资产，并用颜色区分关键性等级，帮助理解“业务影响如何沿依赖链传导到资产”。

从图中可以看到，业务影响并不是平均分布在所有资产上。支付网关、支付交易库、支付专线和第三方支付通道构成了一条强依赖链，其中任何一环失效都会直接中断支付业务；统一认证服务虽然不直接产生收入，但被多个业务共享，一旦失效会同时影响下单、支付和查询，属于典型的“共享高关键性资产”。订单数据库和数据库主机是单点，没有冗余路径，恢复时间直接决定业务中断时长。

六、资产清单与关键性排序任务示例

下面给出一份可直接参考的资产清单与关键性排序表，字段围绕本节任务设计，不引入无关管理字段。示例数据为教学假设，用于说明填写方式和排序逻辑。

完成上述清单后，建议做一次交叉验证：随机抽取排序前 5 的资产，逐一追问“如果它明天上午 9 点失效，业务会怎样、多久恢复、谁来恢复”。如果回答含糊，说明依赖映射或 RTO 设定还不扎实，需要回到业务访谈和架构图中补齐。资产识别与业务影响分析的最终产出，不是一张静态表格，而是一份能够支撑风险量化、优先级排序和治理决策的动态依据。